> ## Documentation Index
> Fetch the complete documentation index at: https://docs.wirespeed.co/llms.txt
> Use this file to discover all available pages before exploring further.

# CrowdStrike

> Integre productos de CrowdStrike, incluidos Falcon, NG-SIEM y su plataforma de identidad

## Primeros pasos

1. Inicie sesión en [https://falcon.crowdstrike.com/login/](https://falcon.crowdstrike.com/login/)
   1. Es posible que tenga una URL de portal distinta según la geolocalización
2. Expanda la navegación en la parte superior izquierda > Support and resources > **API Clients and keys**
3. Seleccione **Create API Client**
4. Seleccione los siguientes alcances
   1. Alerts - Read / Write *(Write es necesario para sincronizar el estado de la alerta, el veredicto y los comentarios de vuelta a CrowdStrike)*
   2. Hosts - Read / Write *(necesario para aislar y desaislar puntos de conexión)*
   3. Cases - Read / Write
   4. Threat Graph - Read
   5. Custom IOA Rules - Read
   6. Correlation Rules - Read
   7. Real Time Response (Active Responder) - Write *(necesario para la eliminación de archivos)*
5. Cree y guarde el **Client ID**, el **Client Secret** y la **Base URL**
6. Inicie sesión en Wirespeed y vaya a Integraciones > [Añadir integración](https://app.wirespeed.co/settings/integrations?tab=browse) > Crowdstrike y proporcione la información del paso 5.

## Actualización de detecciones

Wirespeed sincroniza automáticamente el estado de las detecciones desde CrowdStrike Falcon para que sus detecciones se mantengan actualizadas sin intervención manual.

### ¿Cuándo se ejecuta?

La actualización de detecciones se ejecuta **cada 15 minutos** para todas las detecciones escaladas que se estén trabajando de forma activa. En concreto, las detecciones deben cumplir todos los criterios siguientes para actualizarse:

* La detección se **escaló** en algún momento
* El estado actual es uno de: **Chat Ops**, **Cazando** o **Escalada**
* La detección se creó en los **últimos 14 días**

La actualización también se ejecuta durante la **creación del caso** para obtener las notas y los registros más recientes de CrowdStrike antes de abrir un caso.

### ¿Qué se actualiza?

Cada actualización obtiene el estado actual de la alerta desde la API de CrowdStrike y comprueba si hay cambios:

* **Estado y veredicto** — Si CrowdStrike marca una detección como falso positivo (mediante etiquetas, resolución o triaje automatizado), Wirespeed cierra automáticamente la detección como benigna. Las confirmaciones de verdaderos positivos se registran.
* **Falcon Complete** — Si la detección se asigna a CrowdStrike Falcon Complete, se añaden una nota y un registro indicando que Falcon Complete está gestionando la detección.
* **Notas** — Los comentarios de CrowdStrike se sincronizan como notas en la detección. Las notas marcadas para el caso se fusionan en cualquier caso asociado.
* **Asignado** — Si la alerta tiene un asignado en CrowdStrike, se registra en la detección.

> [!NOTE]
>
> En la primera sincronización, Wirespeed obtiene detecciones de hasta los últimos **90 días**, con un límite de las **5.000** detecciones más recientes.

## Remediación de puntos de conexión

Wirespeed puede aislar de la red y levantar la contención en hosts de CrowdStrike Falcon a través de la API **PerformActionV2** de Falcon (acciones `contain` y `lift_containment`).

* **Aislar punto de conexión** — aplica contención de red al ID de agente del host (`device_id`) almacenado en el punto de conexión.
* **Desaislar punto de conexión** — levanta la contención de red del mismo ID de agente del host.

Estas acciones requieren el alcance de API **Hosts: Write** además de **Hosts: Read**.


This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.